カプコンID『1,177万件漏えい』で、パスワードはなぜ無事だったのか

カプコンは2026年10月19日、オンライン会員サービス「CAPCOM ID」への不正アクセスの痕跡を発見し、アクセスを遮断した。20日に対策本部を設置、21日に個人情報保護委員会と警察へ報告し、22日に第一報を公表した。23日の第二報で影響範囲の調査は完了したとされ、漏えい件数は全世界で1,177万4,247件と確定した。CAPCOM ID を使ったサービスは継続利用でき、ゲームのプレイ自体に影響はないとされる。発見から公表まで3日、調査完了まで4日という速度は比較的速い部類だが、問題は件数の大きさと、その中身の偏りにある。

漏えいした情報を層に分けると、形が見える。第一の層は連絡先と識別子で、メールアドレスとログインID。第二の層は利用の足跡で、アカウント作成日時、最終ログイン日時、ログイン回数、最終ログイン時のIPアドレス。第三の層はプロフィールで、生年月日・性別・国または地域・ニックネームが漏れたのは43件だけだった。一方で、第四の層である認証情報、つまり利用者自身が設定したパスワードは「漏えいは確認されていない」とされ、第五の層のクレジットカード情報も対象に含まれていない。この分かれ方は偶然ではない。一般に、パスワードは元の文字列のまま保存されず、ハッシュ化（元に戻せない形へ変換）して保管されるため、保管場所に侵入されても即座に使える形では漏れにくい。カード情報も、決済代行の仕組みに預けて自社に置かない設計が広がっている。つまり「保管の仕方」が、侵入されたときに何が漏れるかをあらかじめ決めていた。

今回いちばん重いのは、大量のメールアドレスではなく、196件で起きたパスワードの不正変更である。パスワードの変更は、通常はログイン済みの状態か、正規の変更手続きを経なければできない。それが第三者にできたということは、少なくともこの196件については、攻撃者が認証を突破するか迂回する手段を持っていたことを意味する。カプコンは該当アカウントのパスワードをリセットし、対象者へ個別に連絡している。さらに、そのうち国内の19件では、同じIDで使える通販サイト「イーカプコン」のマイページにまで不正アクセスがあり、氏名・住所・電話番号・購入履歴・問い合わせ履歴などが漏れた。1つの共通IDが落ちると、ゲームだけでなく通販やサポートまで連鎖する。共通IDは利便性の仕組みであると同時に、被害が横に広がる通り道でもある。

カプコンの大規模な情報漏えいは初めてではない。2020年にはランサムウェア攻撃で社内データが窃取され、影響は最大で約39万人分とされた。あれは「社内のファイル」が狙われた事件だった。今回は「利用者のID基盤」が狙われ、件数は約30倍に増えた一方、1件あたりの情報はメールアドレスと利用履歴が中心で薄くなった。攻撃の主戦場が、企業の内部文書から、利用者のアカウント基盤へ移っていることが読み取れる。ゲーム会社の共通IDは、ゲームにログインする鍵であると同時に、通販、イベント応募、サポートの本人確認の基盤でもある。1つのIDに集まる役割が増えるほど、そのIDを守る仕組みの価値も、破られたときの被害の広がりも大きくなる。

この事件は、アカウント保護が何層もの積み重ねであることを示している。事業者側の層は、パスワードのハッシュ化保管、決済情報の分離、そしてログイン履歴やIPアドレスの監視による異常検知である。皮肉なことに、今回漏れた「最終ログイン日時やIPアドレス」は、本来は不正ログインを見つけるために記録されている防御側のデータでもある。侵害が起きた後の層として、強制的なパスワードリセットと対象者への個別通知が機能した。残る層は利用者側にある。メールアドレスが漏れた以上、カプコンや大手プラットフォームを装うフィッシングは今後届きうる。そして、漏れたアドレスと「使い回されているパスワード」の組み合わせを他サービスに試すリスト型攻撃は、パスワード自体が漏れていなくても成立する。使い回しをやめることは攻撃の前提を崩し、2段階認証はパスワードが知られても第二の鍵を要求する。今回パスワードが無事だったのは保管の設計が機能した結果であり、利用者が塞ぐべきは、その設計の外側にある使い回しとフィッシングの2点だということになる。